Malware berbasis memori adalah jenis program berbahaya yang hanya berjalan di memori dan tidak ditulis ke disk. Hal ini memungkinkannya melancarkan serangan yang sulit terdeteksi serta menghindari deteksi oleh solusi antivirus konvensional. Teknologi Runtime Application Self-Protection (RASP) dari Perlindungan Aplikasi menganalisis data memori untuk mendeteksi malware berbasis memori secara real time dan mencegat injeksi serta eksekusinya. Topik ini menjelaskan cara menggunakan fitur pertahanan terhadap malware berbasis memori.
Prasyarat
Daftarkan aplikasi Java Anda ke Perlindungan Aplikasi dan pastikan instans aplikasinya telah diotorisasi. Untuk informasi selengkapnya, lihat Mendaftarkan aplikasi ke Perlindungan Aplikasi.
Logika deteksi dan pencegatan
Fitur pertahanan terhadap malware berbasis memori mendeteksi ancaman seperti malware berbasis memori, upaya injeksi, dan panggilan eksekusi berbahaya dalam instans yang diotorisasi dari suatu kelompok aplikasi.
Deteksi malware berbasis memori: Mesin ini memindai memori untuk mencari kode berbahaya guna menemukan ancaman tersembunyi dan menampilkan peringatan deteksi malware berbasis memori di Konsol. Anda dapat mengaktifkan mesin ini dengan mengaktifkan sakelar In-memory Webshell untuk suatu kelompok aplikasi.
Injeksi malware berbasis memori: Mesin ini memantau dan mencegat serangan malware berbasis memori secara real time, termasuk perilaku injeksi dan eksekusinya. Mesin ini diaktifkan ketika jenis deteksi untuk suatu kelompok aplikasi mencakup In-memory Webshell Injection. Jika Protection Mode untuk kelompok aplikasi diatur ke Monitoring, mesin hanya melaporkan peringatan tanpa memblokir ancaman. Jika Protection Mode diatur ke Block, mesin secara aktif memblokir panggilan mencurigakan dan menghasilkan peringatan yang sesuai. Mesin ini menyediakan dua metode pencegatan untuk melindungi dari serangan yang menargetkan berbagai middleware.
Pencegatan selama proses injeksi: Dengan memantau fungsi API sensitif, RASP dapat mengamati perilaku penyerang secara real time, seperti menginjeksikan malware berbasis memori melalui eksekusi ekspresi atau deserialisasi. RASP dapat memblokir serangan selama proses injeksi, sehingga mencegah malware masuk ke konteks aplikasi.
Pencegatan selama eksekusi: Jika malware berbasis memori berhasil diinjeksikan dan mencoba dijalankan, RASP menggunakan kombinasi pembelajaran mendalam dan pengenalan perilaku untuk memantau eksekusi program. Dengan membandingkan perilaku program terhadap database tanda tangan berbahaya yang dikenal, teknik ini dapat secara akurat mengidentifikasi dan mencegah aktivasi serta eksekusi malware tanpa mengganggu operasi bisnis normal. Akibatnya, meskipun malware telah ditanamkan di sistem, penyerang tidak dapat menggunakannya.
Lihat dan tangani peringatan
Secara default, Perlindungan Aplikasi mengaktifkan deteksi malware berbasis memori untuk semua kelompok aplikasi. Setelah Anda mendaftarkan aplikasi ke Perlindungan Aplikasi, ikuti langkah-langkah berikut untuk melihat dan menangani peringatan malware berbasis memori.
Masuk ke Konsol Security Center.
Di panel navigasi sebelah kiri, pilih . Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.
Di halaman Application Protection, pada tab Memory-resident Malware Defense, tentukan kelompok aplikasi dan rentang waktu yang ingin Anda lihat.
Lihat In-memory Webshell Alert Trend, In-memory Webshell Distribution, dan daftar peringatan malware berbasis memori.
Alert for In-memory Webshell Detection: Peringatan ini mengidentifikasi file malware berbasis memori statis yang dideteksi oleh mesin deteksi. Daftar berikut menjelaskan status penanganan peringatan tersebut:
Unhandled: Mesin deteksi telah mendeteksi file malware tersebut. Anda harus menangani peringatan ini secara manual dan segera.
Automatically handled and blocked: Mesin injeksi malware berbasis memori mendeteksi eksekusi file malware yang memicu peringatan dan memblokir eksekusinya. RASP dapat mempertahankan diri dari malware ini dengan presisi tinggi. RASP juga memblokir upaya eksekusi berikutnya. Anda dapat melakukan restart aplikasi untuk menghapus file malware dari memori.
Unhandled and monitored: Mesin injeksi malware berbasis memori mendeteksi eksekusi file malware yang memicu peringatan tetapi tidak memblokir eksekusinya. Perilaku ini ditentukan oleh pengaturan Protection Mode kelompok aplikasi. Anda dapat mengaktifkan fitur perlindungan untuk kelompok aplikasi tersebut dengan satu klik.
Berikut ini penjelasan status aktif dan tidak aktif dari peringatan:
Aktif: Instans aplikasi yang memicu peringatan sedang online.
Tidak aktif: Instans aplikasi yang memicu peringatan sedang offline.
Alert for In-memory Webshell Insertion: Peringatan ini mengidentifikasi event yang dideteksi oleh model injeksi malware berbasis memori.
Pada kolom Actions dari peringatan target, klik Details. Lihat tab Details dan Alert Analysis untuk menentukan apakah Anda perlu menangani peringatan tersebut.
Di tab Details, jika Anda ingin melihat kode sumber program Java yang berjalan di memori, aktifkan sakelar Decompiled Java File. Jika Anda menonaktifkan sakelar ini, Security Center tidak akan menampilkan kode hasil dekompilasi.
Tab Alert Analysis menggunakan model bahasa besar (LLM) untuk memberikan analisis terhadap kode yang berjalan di memori, termasuk bukti spesifik mengapa kode tersebut diidentifikasi sebagai malware berbasis memori. Hal ini membantu Anda menilai secara lebih akurat apakah malware yang terdeteksi benar-benar merupakan ancaman, sehingga meningkatkan penilaian keamanan dan efisiensi respons Anda.
PentingAnda harus mengaktifkan sakelar Decompiled Java File untuk melihat konten pada tab Alert Analysis. Fitur analisis peringatan menganalisis file Java hasil dekompilasi.
Tangani peringatan malware berbasis memori.
Tangani malware berbasis memori secara manual: Lakukan restart aplikasi selama jam sepi untuk menghapus malware berbasis memori. Kemudian, atur status penanganan menjadi Mark as Handled di Konsol.
Aktifkan perlindungan dengan satu klik: Ubah Block menjadi Block untuk kelompok aplikasi yang berisi server yang terdampak. Setelah perubahan dilakukan, mesin akan secara otomatis mencegat semua upaya injeksi atau eksekusi malware berbasis memori yang terdeteksi di kelompok aplikasi ini di masa mendatang.
Abaikan: Jika Anda tidak perlu menangani peringatan tersebut, atur status penanganan menjadi Ignore di Konsol.
Tambahkan ke daftar putih: Buka tab Attack Alerts. Pada kolom Actions dari peringatan injeksi malware berbasis memori target, klik Handle untuk menambahkan peringatan tersebut ke daftar putih. Untuk informasi selengkapnya, lihat Menambahkan peringatan ke daftar putih.
CatatanPeringatan deteksi malware berbasis memori tidak dapat ditambahkan ke daftar putih.
Aktifkan atau nonaktifkan pertahanan
Untuk mengaktifkan atau menonaktifkan pertahanan terhadap malware berbasis memori untuk suatu kelompok aplikasi, ikuti langkah-langkah berikut.
Masuk ke Konsol Security Center.
Di panel navigasi sebelah kiri, pilih . Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.
Di halaman Application Protection, klik tab Application Configurations. Pada kolom Actions dari kelompok aplikasi target, klik Protection Policy.
Di panel Protection Policy, pada tab Protection Policy, pilih atau batalkan pilihan kelompok kebijakan perlindungan yang mencakup In-memory Webshell Injection sebagai jenis deteksi.
Jika Anda memilih kelompok kebijakan perlindungan yang mencakup In-memory Webshell Injection sebagai jenis deteksi, mesin injeksi malware berbasis memori diaktifkan. Jika Protection Mode diatur ke Monitor, mesin hanya melaporkan peringatan dan tidak memblokir ancaman. Jika Protection Mode diatur ke Block, mesin melaporkan peringatan dan memblokir upaya injeksi serta eksekusi malware berbasis memori.
Di panel Protection Policy, pada tab Detection Policy, aktifkan atau nonaktifkan sakelar In-memory Webshell, lalu klik OK.
Jika Anda mengaktifkan sakelar deteksi malware berbasis memori, deteksi malware berbasis memori diaktifkan untuk kelompok aplikasi tersebut.
